Google強化App Engine應用程序安全，加入管理服務賬戶新功能

Google更新其無服務器應用程序托管平臺App Engine，加入兩項新功能，除了提供用戶更多出站流量控制（Egress Controls）能力之外，也加入用戶管理服務賬戶，使得用戶能夠應用最低權限，來增加在App Engine上應用程序的安全性。

App Engine為一個完全托管的應用程序平臺，對應用程序的出站流量提供了一個IP地址池，讓用戶能夠不必管理網(wǎng)絡細節(jié)就能提供服務，對不少用戶方便且已經(jīng)足夠，不過，有部分App Engine用戶需要對出站請求進行更多的控制，因此Google加入了新功能來滿足這些用戶的需求。

App Engine的出站流量控制新功能，借助Cloud VPC服務中的無服務器VPC訪問功能，無服務器VPC訪問功能，可讓用戶配置連接器，將請求從App Engine應用程序路由到自己的VPC網(wǎng)絡，而出站流量控制，能使用戶更好地控制使用VPC連接器的流量。

Google提到，出站流量控制的重要使用案例，是對App Engine的HTTP請求創(chuàng)建靜態(tài)出站IP地址，因為部分App Engine用戶提供的SaaS服務，必須連接到終端用戶網(wǎng)絡，不過這些終端用戶通常傾向只對特定來源IP的流量打開防火墻，而借由出站流量控制，用戶就可以使用無服務器VPC訪問和Cloud NAT來配置靜態(tài)IP地址。

App Engine另一項新功能，是讓用戶可以對每個應用程序版本，指定不同的服務賬戶。目前App Engine使用默認服務賬戶，來代表App Engine應用程序和其他GCP服務交互，而這個默認服務賬戶，是在初始App Engine應用程序過程中設置的，用戶可以管理并授給該服務賬戶的權限，但因為這個賬戶被應用程序的所有服務使用，因此無論特定服務需要的權限為何，所有服務都共享同一個權限集。

而現(xiàn)在Google加入用戶管理服務賬戶新功能，讓用戶可以對應用程序的每個版本，指定使用不同的服務賬戶，限制每個服務賬戶僅具執(zhí)行任務需要的權限，而非對單一共享服務賬戶，授給應用程序中的所有服務需要的權限，好處是用戶可以遵循最低權限的最佳實踐。當用戶未指定服務賬戶，則App Engine使用默認服務賬戶。